Misbruik van Microsoft Direct Send: wat je moet weten

Cybercriminelen hebben een nieuwe truc gevonden: ze gebruiken de Direct Send-functie van Microsoft 365 om phishingmails te versturen. En het vervelende is: ze doen dat via Microsoft zelf, waardoor die mails er super betrouwbaar uitzien.

Wat is Direct Send eigenlijk?

Direct Send is bedoeld voor printers, scanners en andere apparaten die e-mails moeten kunnen versturen zonder dat ze hoeven in te loggen. Handig, toch? Maar… dat gemak blijkt nu ook een zwakke plek.

Hoe werkt de aanval?

Aanvallers maken verbinding met Microsoft 365’s e-mailserver. Ze sturen e-mails die lijken te komen van interne medewerkers. Door gebruik te maken van Direct Send, zijn er geen wachtwoorden nodig en geen tokens; alleen een geldig Tenant ID en e-mailadres. Omdat de e-mails via Microsoft gaan, worden ze vaak niet geblokkeerd of als verdacht gezien.

Wat zit er in die mails?

In dit soort mails zitten vaak PDF’s, Word-bestanden met QR-codes, of HTML-bestanden die eruitzien als legitieme documenten. Deze leiden naar phishingpagina’s waar je je gegevens moet invullen. De bestanden zijn vaak gemaakt met specifieke tools. Er worden slimme trucs uitgehaald, zodat de HTML zó opgebouwd is, dat het lastig te detecteren is. Ook worden er tekens gebruikt die op elkaar lijken (Unicode-homoglyphs). En door gebruik van JavaScript wordt de kwaadaardige inhoud pas getoond bij het openen.

Wat kun je doen?

1. Gebruik je Direct Send niet? Zet het uit. Hiermee kunnen we je helpen.

2. Zorg dat je SPF en DMARC goed zijn ingesteld.

3. Controleer je e-mailbeveiliging, zeker als je Mimecast gebruikt.

4. Kijk of je apparaten echt Direct Send nodig hebben – zo niet, stel ze anders in.

We helpen je graag om je IT-landschap veiliger in te richten. Neem contact met ons op voor persoonlijk advies en hulp met de juiste inrichting.